Gestão de Risco Humano (em inglês: Human Risk Management - HRM) é uma denominação utilizada na cibersegurança para abordagens voltadas à identificação, avaliação e redução de riscos relacionados ao comportamento humano no uso de sistemas, dados e recursos digitais. O termo passou a ganhar espaço no debate profissional sobre a evolução dos programas de conscientização e treinamento em segurança, especialmente em abordagens que procuram relacionar comportamentos observáveis, intervenções de segurança e gestão de riscos.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. Springer, 2025.
A expressão não possui uma definição única e consolidada. Um estudo publicado em 2025 por pesquisadores ligados à Universidade de Kent, baseado em entrevistas com profissionais de cibersegurança, identificou interpretações distintas do HRM, que variavam desde uma reformulação dos programas tradicionais de Security Awareness and Training (SA&T) até uma abordagem mais ampla, centrada em pessoas, dados e sistemas. Os autores também caracterizaram o tema como uma área emergente e ainda pouco pesquisada academicamente.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025. Antes da consolidação da expressão Human Risk Management, trabalhos acadêmicos já utilizavam conceitos como human cyber risk management para discutir intervenções destinadas a modificar comportamentos de segurança.John M. Blythe, Alan Gray e Emily Collins. Human cyber risk management by awareness professionals: carrots or sticks to drive behaviour change?. Springer, 2020.
Evolução do conceito Programas de conscientização e treinamento em segurança são utilizados há décadas como uma das formas de abordar riscos associados à interação entre pessoas e sistemas de informação. Ao longo do tempo, parte da literatura profissional passou a questionar modelos concentrados principalmente no cumprimento de treinamentos e em avaliações de conhecimento, defendendo maior atenção a comportamentos, contexto organizacional e resultados de segurança.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025.
Em 2020, John M. Blythe, Alan Gray e Emily Collins publicaram um estudo sobre human cyber risk management no qual analisaram o uso de recompensas e sanções por profissionais responsáveis por programas de conscientização. A pesquisa discutiu possíveis efeitos negativos de determinadas estratégias punitivas sobre confiança e produtividade e a importância do contexto organizacional nas estratégias de mudança comportamental.John M. Blythe, Alan Gray e Emily Collins. Human cyber risk management by awareness professionals: carrots or sticks to drive behaviour change?. Springer, 2020.
Em 2021, o SANS Institute publicou seu relatório anual de conscientização sob o título Managing Human Risk. O documento descrevia uma evolução dos programas de conscientização, de iniciativas predominantemente orientadas à conformidade para programas associados à gestão do risco cibernético humano.Lance Spitzner. 2021 Report: Managing Human Risk. SANS Institute, 2021. Em 2023, a ISACA publicou uma análise que tratava a gestão do risco humano como parte do processo de gestão de riscos cibernéticos e argumentava que treinamentos periódicos, isoladamente, não seriam suficientes para lidar continuamente com esse tipo de risco.Chris Madeksho. Managing Human Risk Requires More Than Awareness Training. ISACA, 2023.
O termo ganhou maior visibilidade como denominação de mercado em fevereiro de 2024, quando a Forrester Research anunciou que deixaria de utilizar Security Awareness and Training como nome de uma categoria de mercado e passaria a utilizar Human Risk Management. A Forrester apresentou a mudança como uma tentativa de deslocar o foco de métricas como conclusão de treinamentos para a observação de comportamentos, quantificação de risco, intervenções orientadas pelo risco e desenvolvimento de uma cultura de segurança.Jinan Budge. The Future Is Now: Introducing Human Risk Management. Forrester Research, 13 de fevereiro de 2024.
A adoção da expressão pelo mercado não eliminou a discussão sobre seu significado. O estudo de Nurse, Milward e Alashe, publicado em 2025, observou que profissionais entrevistados apresentavam entendimentos diferentes sobre o escopo do HRM. Entre as interpretações encontradas estavam tanto a percepção de que o conceito poderia representar uma reformulação do SA&T quanto a de que constituiria uma abordagem distinta, apoiada em dados e orientada ao conjunto do sistema organizacional.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025.
Relação com conscientização e treinamento em segurança A relação entre Human Risk Management e Security Awareness and Training é um dos principais temas presentes na literatura sobre HRM. Os programas de SA&T utilizam atividades como treinamento, comunicação e simulações para preparar usuários para reconhecer e responder a ameaças. A literatura recente sobre risco humano tem discutido a necessidade de complementar essas atividades com avaliação de comportamentos, análise do contexto no qual esses comportamentos ocorrem e mensuração de resultados.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025.Chris Madeksho. Managing Human Risk Requires More Than Awareness Training. ISACA, 2023.
A Forrester distingue as duas abordagens ao definir o HRM como um conjunto de soluções destinado a detectar e medir comportamentos relacionados à segurança, quantificar risco humano, iniciar intervenções de política ou treinamento com base nesse risco, capacitar trabalhadores e contribuir para uma cultura de segurança. Na definição da empresa, atender a requisitos de treinamento permanece como uma aplicação do HRM, mas deixa de constituir seu objetivo principal.Jinan Budge. The Future Is Now: Introducing Human Risk Management. Forrester Research, 13 de fevereiro de 2024.
O SANS Institute apresenta uma relação mais contínua entre conscientização e gestão de risco humano. Em seu relatório de 2021, a organização descreveu programas maduros de conscientização como parte da capacidade de uma organização de gerenciar o risco cibernético humano.Lance Spitzner. 2021 Report: Managing Human Risk. SANS Institute, 2021. A existência dessas diferentes formulações é compatível com os resultados da pesquisa acadêmica de 2025, que apontou ausência de uma interpretação uniforme sobre os limites entre SA&T e HRM.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025.
Comportamento e mensuração de risco A ênfase no comportamento é recorrente nas discussões sobre gestão de risco humano. Em vez de considerar apenas se uma pessoa participou de um treinamento ou respondeu corretamente a uma avaliação, abordagens associadas ao HRM procuram relacionar comportamentos de segurança a riscos e a possíveis intervenções. Essa orientação também aparece em pesquisas sobre modelagem comportamental aplicada à cibersegurança.Jason R. C. Nurse. Toward a Behavioral Ontology for Cybersecurity: Introducing SebDB. University of Kent / Springer, 2026.
O SebDB, apresentado academicamente em 2026, foi desenvolvido com participação de profissionais e pesquisadores das áreas de conscientização, cultura de segurança e Human Risk Management. O trabalho busca organizar comportamentos relacionados à cibersegurança e estabelecer relações entre comportamentos, riscos, técnicas utilizadas por agentes de ameaça, vulnerabilidades, controles de segurança e intervenções comportamentais.Jason R. C. Nurse. Toward a Behavioral Ontology for Cybersecurity: Introducing SebDB. University of Kent / Springer, 2026. Esse trabalho representa uma das iniciativas acadêmicas destinadas a estruturar a análise do componente comportamental do risco cibernético, sem estabelecer uma métrica universal para o chamado risco humano.
Outra linha de pesquisa procura incorporar explicitamente fatores humanos aos métodos de avaliação de risco. Em 2025, um artigo publicado na revista Electronics propôs uma metodologia de avaliação de risco centrada no ser humano que incorpora perfis de maturidade dos usuários e medidas sociais, como conscientização, treinamento e intervenções comportamentais, juntamente com controles técnicos.A Practical Human-Centric Risk Management (HRM) Methodology. Electronics, volume 14, número 3, 2025.
Debate sobre a terminologia Apesar da expansão do uso do termo, não existe consenso de que Human Risk Management deva constituir uma categoria autônoma ou uma denominação permanente para esse conjunto de práticas. Nurse, Milward e Alashe observaram em 2025 que o conceito continuava pouco pesquisado e que profissionais apresentavam interpretações que iam de uma reformulação de SA&T a uma abordagem mais ampla de gestão do risco relacionado às pessoas.Jason R. C. Nurse, Joanna Milward e Oz Alashe. From Security Awareness and Training to Human Risk Management in Cybersecurity. University of Kent, 2025.
A própria terminologia passou a ser questionada por analistas do setor. Em abril de 2026, a Gartner publicou uma análise intitulada Why It's Time to Drop "Human Risk Management" as a Market Name, na qual questionou a adequação da expressão como nome de uma categoria de mercado.Richard Addiscott. Analyst Take: Why It's Time to Drop "Human Risk Management" as a Market Name. Gartner, 30 de abril de 2026. A discussão ilustra a ausência de consenso sobre os limites e a própria denominação da abordagem.
Ver também
Cibersegurança Segurança da informação Gestão de riscos Engenharia social (segurança) Phishing Comportamento organizacional
Categoria:Segurança da Informa Categoria:Gestão de Risco